来源：HN (116pts)
URL: https://blog.jakesaunders.dev/building-an-almost-fully-self-hosted-sandboxed-agentic-software-factory/
精读日期：2026-08-25
模型：DeepSeek V4 Flash（AI 生成，人工未审校）
正文获取：全文

一、核心论点/事实

  • 作者成功构建了一个几乎完全自托管的、沙箱化的、代理式软件工厂，从单一提示词出发，自主完成仓库创建、应用编写、测试通过、CI 变绿、Postgres 配置及 HTTPS 部署，全程无需人工干预。
  • 动机源于对 LLM 自动模式下的安全担忧：作者认为给 LLM 根权限运行在个人机器上“不太对劲”，因此寻求结构性约束而非单纯信任。
  • 实验硬件：一台 2014 年双核 i3 老服务器（运行 45+ Docker 容器，含博客、Pi-hole、Prometheus/Loki/Grafana）作为现有基础设施；一台 2021 年 10 代 i7、32GB RAM 的新服务器（从 eBay 购入）作为隔离的代理开发环境。
  • 核心堆栈：Coolify（自托管 PaaS）、OpenClaw 风格虚拟助手（基于 Codex 推理）、Hermes（代理与 Web 的抓取/翻译层）、Tailscale（网络）、Porkbun（DNS/ACME）。
  • 唯一持续成本是 LLM 推理 API 费用；其余全部运行在家庭服务器上，无额外云账单。
  • 关键安全设计：新服务器无外部入口（无端口转发），仅通过 Tailscale 网络访问，大幅减少攻击面。

二、方法/架构拆解

  • 硬件隔离：新服务器（i7）与老服务器（i3）物理分离，代理仅能访问新机器，无法触及老服务器上的博客、Pi-hole 等关键服务。
  • 网络架构：
  • 新服务器无路由器端口转发，无公网入口，仅通过 Tailscale 内部网络可达。
  • 老服务器作为 Tailscale 出口节点，远程时通过它路由流量并利用 Pi-hole 自定义 DNS。
  • Pi-hole 配置 dnsmasq 规则：address=/internal.jakeshomelab.me/192.168.1.201，将内部域名解析到新服务器。
  • HTTPS 与 DNS-01 挑战：
  • 使用 Coolify 的 Traefik 反向代理，通过 Docker 标签将容器端口映射到 https://my-service.internal.jakeshomelab.me。
  • 采用 DNS-01 挑战（而非 HTTP-01），避免创建公网 A 记录：在 Porkbun 购买域名，生成 API 密钥（写权限），配置 Coolify 环境变量。
  • 修改 Coolify Docker Compose：--certificatesresolvers.letsencrypt.acme.dnschallenge=true 和 --certificatesresolvers.letsencrypt.acme.dnschallenge.provider=porkbun。
  • 流程：Traefik 通过 Porkbun API 创建 _acme-challenge.my-service.internal.jakeshomelab.me 的 TXT 记录，Let's Encrypt 验证后签发有效 SSL 证书，全程无公网 A/AAAA 记录。
  • 代理工作流：Hermes 作为代理与 Web 的交互层，支持 Forgejo CLI 技能（提供密钥即可），实现 Git 提交、CI 运行、部署等自动化操作。
  • 部署能力：Coolify 按需创建服务，代理可动态生成任意子域名并自动获取 SSL 证书，实现“幽灵服务”（仅内网可达，但证书有效）。

三、值得注意的局限/争议

作者承认的局限：

  • 这不是完整教程，缺少详细步骤；作者提到可写 Ansible 一键脚本，但尚未提供。
  • 推理（LLM 推理）仍依赖外部 API（OpenAI），未完全自托管，因硬件限制。
  • 域名和证书可能出现在公开的证书透明度日志中，虽服务不可达，但存在信息泄露风险。

AI 判断的局限/争议：

  • 安全边界并非绝对：虽然新服务器无公网入口，但 Tailscale 网络本身依赖信任模型；若代理被诱导执行恶意操作（如修改 Tailscale 配置），仍可能横向移动。
  • DNS-01 挑战的密钥风险：Porkbun API 密钥存储在 Coolify 环境中，若代理能访问该环境变量，可能滥用 DNS 控制权。
  • 依赖单一供应商：Porkbun、OpenAI、Tailscale 均为外部依赖，任一服务中断会影响整个系统。
  • 可扩展性存疑：当前方案针对单用户、单服务器场景设计；若代理需处理多项目或高并发，Coolify 和 Traefik 的配置可能成为瓶颈。
  • “几乎”自托管的定义模糊：作者未明确说明“几乎”的范围，可能掩盖了推理、DNS 等关键环节的外部依赖。

四、与 RRLab 研究的关联

  • Harness 工程：本文是“代理沙箱化”的典型案例，RRLab 可借鉴其硬件隔离 + 网络隔离 + 证书动态化的三层防护思路，设计更安全的 Agent 执行环境（如容器级沙箱 + 网络策略）。
  • 多模型协同：OpenClaw 风格助手 + Codex 推理的组合展示了“编排层 + 推理层”分离的架构，RRLab 可探索多模型（如代码生成 + 测试生成 + 部署决策）的分工协同模式。
  • 模型评测：本文的“从提示词到生产部署”全流程可作为 Agent 端到端评测基准，RRLab 可设计类似任务（如“构建 CRUD 应用并部署”）来评估模型的自主性和可靠性。
  • Agent 落地：DNS-01 + 内网证书方案解决了“代理创建服务但无需公网暴露”的落地痛点，RRLab 在私有化部署场景中可直接复用此模式。
  • AI 原生产品：Coolify 作为自托管 PaaS 与代理的深度集成（动态子域名 + 自动 SSL）展示了“AI 原生 DevOps”的雏形，RRLab 可探索将类似能力产品化，降低用户部署门槛。

本笔记由 DeepSeek V4 Flash 自动生成，未经人工审校。原文链接：https://blog.jakesaunders.dev/building-an-almost-fully-self-hosted-sandboxed-agentic-software-factory/